xxx云计算中心机房安全管理制度-免费阅读

　　

【正文】 应在每个开发 或采购项目的需求分析阶段描述信息安全问题。权限分配必须遵守“必须使用”和“逐个分析”的原则。  不允许口令恢复。 口令过期  必须在 90 天后终止不使用的帐号。  口令应区分大小写（至少 1 个字符为大写，至少 1 个为小写）。  业务部门和职能单位应建立并归档帐号注册和注销过程；  业务部门和职能单位都应负责对其系统授予访问权限；  如果工作人员和第三方的状态发生了变化，则必须 在变化的24 小时内更改其访问权限；  业务部门和职能单位应建立并归档处理机制，每 3 个月检查一次批准的帐号及其访问权限；  如果需要紧急帐号，则应该：  经由信息安全管理部门批准；  经记录并批准后使用；  仅使用一次。 六、访问控制 为了保护计算机系统中信息不被非授权的访问、操作或破坏，必须对信息系统和数据实行控制访问。 选用的加密机制与密码算法应符合国家密码政策，密钥强度符合国家规定。 因特网安全策略 因特网安全策略范围包括云神信息系统因特网安全域内的服务器及其相关应用。 网上信息安全 以中国电子政务信息安全架构体系为核心，利用其中的信任服务体系，确保网上云神信息系统的安全性、可靠性和稳定性，保证网上云神信息系统的数据的安全性、完整性和不可否认性。 网络安全管理 网络安全管理的目标是保证网络信息安全，确保网络基础设施的可用性。 鉴别和网络安全 鉴别和网络安全包括以下方面：  网络访问控制应包括对人员的识别和鉴定；  用户连接到网络的能力应受控，以支持业务应用的访问策略需求；  专门的测试和监控设备应被安全保存，使用时要进行严格控制；  通过网络监控设备访问网络应受到限制并进行适当授权；  应配备专门设备自动检查所有网络数据传输是否 完整和正确；  应评估和说明使用外部网络服务所带来的安全风险；  通过公共网络或其他远程网络进行连接的用户应该被授权且加密；  应考虑共享网络的路由控制；  根据不同的用户和不同的网络服务进行网络访问控制；  对 IP 地址进行合理的分配；  关闭或屏蔽所有不需要的网络服务；  隐藏真实的网络拓扑结构；  采用有效的口令保护机制，包括：规定口令的长度、有效期、口令规则或采用动态口令等方式，保障用户登录和口令的安全；  应该严格控制可以对重要服务器、网络设备进行访问的登录终端或登录节点，并且进行完整的访问审计；  严格设置对重要服务 器、网络设备的访问权限；  严格控制可以对重要服务器、网络设备进行访问的人员；  保证重要设备的物理安全性，严格控制可以物理接触重要设备的人员，并且进行登记；  对重要的管理工作站、服务器必须设置自动锁屏或在操作完成后，必须手工锁屏；  严格限制进行远程访问的方式、用户和可以使用的网络资源；  接受远程访问的服务器应该划分在一个独立的网络安全域；  根据云神信息系统的运行特点、业务特点和信息资产的归类情况，在云神信息系统的网络运行环境中划分不同的网络安全域；  安全隔离措施必须满足国家、行业的相关政策法规。应该监控和估计当前和将来的需求，以便取得先机并且避免由于计算机或网络资源不足产生的问题。这些规程包括：  数据文件处理 ，包括验证网络传输的数据；  对所有计划好的系统开发、维护和测试工作的 变更管理规程 ；  为意外事件准备的 错误处理和意外事件处理规程 ；  问题管理规程 ，包括记录所有网络问题和解决办法（包括怎样处理和谁处理）；  事故管理规程 ；  为所有新的或变更的硬件或软件，制定包括性能、可用性、可靠性、可控性、可恢复性和错误处理能力等方面的 测试 /评估规程 ；  日常管理活动 ，例如启动和关闭规程，数据备份，设备维护，计算机和网络管理，安全方法或需求；  当出现意外操作或技术难题时的 技术支持合同 。 业务部门应建立程序来规范来料从入口处移动至其位置的过程。 应经信息安全管理层批准后才可以处置记录，并应用碎纸机处理。 所有非云神信息系统人员在云神信息系统访问期间应一直有人陪同。  安全规程和控制措施应该覆盖该设备的安全性要求。  要保护信息机密性或关键信息不受非授权访问，防止信息由于灾难事件带来的损伤或破坏；在非正常工作时间这些信息应该是不可见和不可访问的。 四、物理和环境安全 信息和其他用于存储、处理或传输信息的物理资产，例如硬件、磁介质、电缆等，对于物理破坏来说是易受攻击的。 处理从互联网下载的软件和文件 必须使用病毒检测软件对所有通过互联网（或任何其他公网）从云神 信息系统之外的途 径获得的软件和文件进行检查。 病毒 严格禁止任何故意传播感染了病毒的文件或程序的行为。  任何工作人员使用 云神 信息系统的计算机工具、设备和互联网访问服务来从事用于个人获益的商业活动。 业务部门和职能单位应确保所有对 云神 信息系统网 络和计算资源的使用（包括访问互联网，都必须遵守 云神 信息系统的安全策略和标准（另请参考电子邮件安全部分）及所有适用的法律。 外部访问者 应该控制外部访问者访问信息系统的权限。 工作定义及资源的安全 工作人员从事或离开岗位时必须进行信息安全考虑，相关的安全事项必须包括在工作描述或合同中。 资产的可审计性 信息资产应该能够被识别、说明并指定所有者，制定并保存信息资产的详细目录。这些信息的使用、再出版要遵守版权。 资产分类 信息资产，包括计算机和网络，应当依据其价值和敏感性以及机密性、完整性和可用性原则进行分类。 信息安全管理 规定机制，使信息安全得以执行。 信息安全职责分配 各级云神信息 系统的安全角色和职责的分配应该根据自己的具体情况补充更详细的环境、系统或服务的描述，这些描述必须明确定义单个资产（包括物理的和信息的）的职责和安全规程，例如业务持续性计划。 安全组织 信息安全管理组织 建立安全组织的目标是管理云神信息系统内部的信息安全。促进信息安全策略的实现和普及是每个工作人员应尽的责任和义务。确保云神信息系统的持续可靠运行需要在信息系统的全生命周期内从技术、管理、工程实施、运行等方面进行安全保障。 监控系统运行中如出现死机等情况，应退出后再重新启动；若启动不成功，应通知专管员处理。加压试验合格方可继续使用，并标注检查日期 (四 )、检查灭火器放置环境及放置位置是否符合设计要求，灭火器的保护措施 是否正常 【三】视频监控维护制度 监控室须 24 小时有工作人员值守，负责实时监控；确保视频监控系统正常运行和视频文件有效存储，保存备查期限一般不得少于15 天 （个别单位视情况而定）。 每月对防火卷帘门和防火门的开启情况进行检查，发现开启不灵活、闭门器损坏等故障及时维修。应按照有关规范配备相应数量的消防安全疏散设施，并建档管理。 四、室内消火拴系统定期检查 室内消火拴箱应经常 保持清洁、干燥，防止锈蚀、碰伤和其它损坏。发现异常应按下列方法检查：如起动瓶内贮氮气，每年内部压力降低值不得大与其 200C 时额定充装压力的 10%；若起动瓶内贮二氧 化碳，每年泄漏量不得大与其额定充装量的 5%。 (二 )、每两年对消防水泵应解体维修一次。 (四 )、水源。对报警阀进行开阀检验，观察阀门开启性能和密 封性能，以及水力警铃、延迟器的性能。若采用自动控制时，应模拟自动控制参数进行启动运转，每次运转易为 5min。 (十 )、检查备品备件、专用工具及加烟、加温试验器等是否齐备，并处于安全无损和适当保护状态。 (四 )对备用电源进行 1—2 次充放电试验， 1—3 次主电源和备用电源自动转换试验，检查其功能是否正常。同时检查复位、消音、故障报警的功能是否正常。特殊情况确需使用时，需经消防管理部门许可。 公司综合部具有对门禁感应卡的 发放、回收及权限调整的权利，有查询和更新数据的权利 。根据进出机房的人员身份，按照工作人员和外来人员分别进行管理。门禁系统自动存储员工进出信息（进出人员身份、时间、所进出门的编号）。 公司综合部应对门禁系统的使用、运行情况进行 检查，如门的锁定功能是否完好，门禁感应卡的使用、发放情况是否正常等。 四、严禁占用消防通道，堵塞安全出口；严禁圈占、堵塞消火栓、灭火器等消防器材和消防设施，保证通道出口畅通，消防器材处于随时可用状态。如发现不正常，应在日登记 表中记录并及时处理。具体试验方法：切断主电源，看是否自动转换到备用电源供电，备用电源指示灯是否亮灯， 4h后，再恢复主电源供电，看是否自动转换，再检查一下备用电源是否正常充电。 (十一 )、直观检查所有消防用电设备的动力线、控制线、报警信号传输线、接地线、接线盒及设备等是否处于安全无损状态。 (三 )、报警阀 各部件的工作状态。此试验可通过末端装置进行。每月检查一次贮存消防用水的水池、消防水箱，核对水位以及消防水不被他用的技术措施，发现故障，及时进行修理。 (三 )、自动喷水系统每年应进行一次可靠性评价，并对施工验收、日常管理维护、修理情况进行总结。 (三 )、检查管道系统有无松脱、损坏和严重腐蚀。每半年至少进行一次全面检查维修。 每日对安全疏散设施进行巡查，发现有以下问题之一的，应立即整改。 每月进行一次电源切换试验，以 检测疏散指示和应急照明的完好率，并根据实际情况进行调整。 工作人员不得迟到、早退，当班时不得脱岗；不得睡觉或干与工作无关的事情；不得利用监控室计算机做与监控工作无关的其他事情；不得随意在监控主机系统中安装无关程序、删除系统中的任一程序、改动系统预先设置的参数；不得故意偷窥、偷拍、窃听、散布他人隐私。 遇下列情况之一时应及时上报专管员，不得私自动手处理：①异常发热；②发出异味；③有异常噪声；④监控图像发生异常；⑤其他无法处理的工作异常情况。 随着信息技术的发展，信息安全技术也不断发展，云神信息系统面临的安全威胁也可能在不断变化，为了应对安全要求及各种约束条件的变化，对于安全策略及其相应的支撑管理规程和制度需要不断的修订和改进。依照本安全策略 ，需要制定： ◆ 信息安全相关的角色需求 ◆ 各种安全环境下的岗位和职责需求 全体工作人员都应该遵守国家相关的计算机或信息安全法律要求，并明确他们各自的信息安全职责。应必须建立专门的安全领导小组，指定专职的安全管理员，不得与其它系统管理员、应用系统管理员等管理人员角色重叠。 为了避免任何对个人责任的误解，每个管理者所负责的管理区域必须被明确规定，重点强调如下：  应该识别和定义与每个业务应用系统相关的各种资产和安全过程；  管理者应该知晓与其相关的资产管理责任，并且形成文件；  应明确定义授权级别，并形成文件。 信息系统 人、硬件设备、系统软件、应用软件和使用或处理的数据（或信息）的一组组合。各级云神信息系统网络与信息安全管理部门应当根据各自部门的业务特点制定本系统内具体的资产分类与分级办法，并根据分级与分类办法制定明晰的资 产清单。 其他信息划分为 普通信息 。对于关键资产应当识别信息所有者，并为其分配执行和维护等相应权限。  对涉及访问秘密或关键信息，或者访问处理这些信息的系统的工作人员应进行严格审查和挑选；  应该根据安全角色和职责来描述工作；  对信息系统具有特殊访问权限的工作人员应该签署承诺，保证不会滥用权限；  当工作人员离开信息系统时应该移交信息系统的访问权限，或工作人员在信息系统内部更换工作时应该重新检查并调整其访问权限。外部访问者不能对系统工作区、信息或信息系统进行未经授权的访问。 云神 信息系统的信息处理系统应能防止用户连接到某些非业务网站。  工作人员使用 云神 信息系统服务来参与任何政治或宗教活动。 禁止工作人员从其它非法的外部计算机向 云神 信息系统内的计算机传输数据。 必须经过批准才能使用用于信息安全检测的工具。同时也不可能完全消除这些风险，应该将资产放置于适当的环境中并在物理上保护他们免受安全威胁和环境危害。  资产的销毁应该通过管理手段适当地授权。  设备包括存储介质在废弃便用之前，应该删除其上面的数 据。 每位 工作人员都有责任对没有陪同的陌生人及任何没有佩戴云神信息系统工作人员或访客通行证的不明身份者进行询问。 设备和电缆安全 应识别所有设备并进行统计，建立并维护对设备访问使用的控制程序。 五、计算机和网络的运行管 理 云神信息系统所拥有的和使用的大多数信息都在计算机上进行处理和存储。 为降低 计算机或网络有意或无意的系统误用的风险：  尽可能职责分离；  尽可能将开发、测试系统与运行系统隔离；  使用第三方来管理信息的建议应该判别是否有任何安全隐患，并且应该有详细的适当安全控制措施的说明；  计算机和网络操作者应对所有做过的工作进行日志记录维护；  频繁的、定期的或特殊的网络故障应被报告和调查；  开发、应用统一的安全管理平台；  应该维护所有软件及所使用的机器的许可证，并及时更新； 操作变更控制 对信息处理设施和系统控制不力是导致系统